¿El uso de proveedores de OAuth externos para la autenticación protegerá a los usuarios mejor que la autenticación personalizada?

3

En StackExchange tenemos la posibilidad de elegir usar nuestras credenciales existentes con proveedores externos de OAuth como Facebook o Google. Esto es conveniente para los usuarios, pero ¿también tiene ventajas (o desventajas) de seguridad potenciales en comparación con un modelo de autenticación tradicional en el que un usuario crearía un nombre de usuario y una contraseña específicamente para mi sitio, y mi sitio administra todo el proceso de autenticación y almacenamiento de usuarios?

Gracias de antemano

    
pregunta ahmed amro 02.04.2013 - 02:06
fuente

1 respuesta

6

Esto depende de su situación, pero la respuesta corta es no reinventar la rueda si no tiene que hacerlo.

Si puedes aprovechar OAuth / OpenID (stackoverflow), entonces probablemente deberías. Esto puede ser más para la seguridad que para la seguridad, los sitios ofrecerán OpenID pero le permitirán crear un inicio de sesión si aún no tiene uno (para cubrir todas las bases). Debe determinar qué es lo mejor para su audiencia.

El beneficio de aprovechar la autenticación de otras personas (facebook o G + en este ejemplo) es que los deja preocupados por la autenticación adecuada de sus usuarios.

Puede intentar construirlo usted mismo, aunque deberá asegurarse de hacerlo de manera segura. La ventaja de rodar el suyo propio puede ser que no es tan popular y, por lo tanto, potencialmente no es un objetivo suficientemente interesante (aunque esto depende de su situación y no es una táctica de seguridad en sí). Si comete algunos errores de novato, entonces se está dejando abierto a posibles ataques.

Por supuesto, hay desventajas al aprovechar la autenticación de otras personas. Por ejemplo, alguien podría haberle dado su contraseña de Facebook a un amigo, que ahora puede iniciar sesión en nuestro sitio si permite el inicio de sesión a través de FB. Por supuesto, lo mismo podría ocurrir con cualquier sistema de autenticación, pero usted no tiene el control de la autenticación FB / G +, por lo que se trata de su propia investigación de lo adecuado que sería.

    
respondido por el Drew Khoury 02.04.2013 - 04:26
fuente

Lea otras preguntas en las etiquetas